Springboot安全角色不工作

Question

我无法在@PreAuthorize注释中使用hasRole方法。还有请求。iUserInRole（“ADMIN”）给出false。我错过了什么？尽管。hasAuthority（“ADMIN”）工作正常。

我正在从数据库中为用户分配权限。

Answer 1

我不得不即兴发挥一点，也许还有其他比我更简单的方法，但是在我从事这项工作的时候，我别无选择，只能即兴发挥一点，经过彻底的研究，我想出了这个解决方案。Spring Security有一个名为“访问决策管理器”的接口，您需要实现它。

@Component
public class RolesAccessDecisionManager implements AccessDecisionManager {
    private final static String AUTHENTICATED = "authenticated";
    private final static String PERMIT_ALL = "permitAll";

    @Override
    public void decide(Authentication authentication, Object o, Collection<ConfigAttribute> collection) throws AccessDeniedException, InsufficientAuthenticationException {
        collection.forEach(configAttribute -> {
            if (!this.supports(configAttribute))
                throw new AccessDeniedException("ACCESS DENIED");
        });
    }

    @Override
    public boolean supports(ConfigAttribute configAttribute) {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication != null && authentication.isAuthenticated()) {
            String rolesAsString = authentication.getAuthorities().stream().map(GrantedAuthority::getAuthority).collect(Collectors.joining(","));
            if (configAttribute.toString().contains(rolesAsString))
                return true;
            else
                return (configAttribute.toString().contains(PERMIT_ALL) || configAttribute.toString().contains(AUTHENTICATED));
        }
        return true;
    }

    @Override
    public boolean supports(Class<?> aClass) {
        return true;
    }
}

现在，要在安全配置中支持此自定义访问决策管理器，请在安全配置中执行以下操作：

@Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable()
// other configs
    .accessDecisionManager(this.accessDecisionManager)

accessDecisionManager是您创建的accessDecisionManager实现的自动连接bean。

Answer 2

您可以使用hasRole（）或hasAuthority（）。区别在于，对于hasosthority（）方法，您必须使用ROLE。

所以对于角色_ADMIN，

java prettyprint-override"> @PreAuthorize("hasRole('ADMIN')") == @PreAuthorize("hasAuthority('ROLE_ADMIN')")

Answer 3

您必须使用前缀角色命名您的权限，才能使用iUserInRole，请参阅Spring Security参考：

HttpServletRequest。isUserInRole（字符串）将确定是否SecurityContextHolder。getContext（）。getAuthentication（）。GetAuthories（）包含一个GrantedAuthority，角色被传递到isUserInRole（String）。通常情况下，用户不应将“ROLE_”前缀传入此方法，因为它是自动添加的。例如，如果要确定当前用户是否具有“ROLE_ADMIN”权限，可以使用以下命令：

boolean isAdmin = httpServletRequest.isUserInRole("ADMIN");

同样适用于hasRole（也适用于hasAnyRole），请参见Spring Security参考：

如果当前主体具有指定的角色，则返回true。默认情况下，如果提供的角色不是以“角色”开头，则会添加该角色。这可以通过修改DefaultWebSecurityExpressionHandler上的defaultRolePrefix进行定制。